Resilient Output Containment under Undisclosed Leader Dynamics and Actuator Attacks

Résumé Technique : Confinement de Sortie Résilient sous une Dynamique de Leaders Non Divulguée et des Attaques d'Actionneurs

Énoncé du Problème
Ce travail traite du problème du confinement de sortie résilient pour des systèmes multi-agents (SMA) linéaires hétérogènes opérant sur des topologies de réseaux dirigés. L'objectif est de garantir que les sorties physiques d'un réseau de suiveurs convergent vers l'enveloppe convexe variant dans le temps générée par plusieurs leaders. Le problème est complexifié par deux contraintes critiques :

1. Dynamique de Leaders Non Divulguée : Les leaders génèrent des trajectoires bornées et localement absolument continues, mais leurs modèles dynamiques, leurs limites de vitesse et leurs enveloppes de mouvement sont strictement non divulgués aux suiveurs. Cela empêche l'utilisation de conceptions d'observateurs distribués standards qui reposent sur la reconstruction des paramètres de l'exosystème du leader.
2. Attaques Cybernétiques d'Actionneurs : Les suiveurs sont soumis à des compromissions d'actionneurs modélisées comme une combinaison d'attaques corrélées à l'état, d'attaques corrélées à l'entrée et d'injections de fausses données exogènes bornées. Ces attaques peuvent corrompre l'exécution des commandes de confinement et potentiellement se propager à travers le réseau.

Les solutions existantes font face à des limitations : les observateurs distribués violent les contraintes de non-divulgation ; les protocoles de mode de glissement introduisent souvent du broutement (chattering) ou nécessitent une connaissance a priori des limites de vitesse des leaders ; et les protocoles adaptatifs continus sont généralement restreints à des graphes non orientés ou nécessitent des mesures d'état complètes.

Méthodologie
Les auteurs proposent une architecture de commande adaptative continue à deux couches, conçue pour séparer la génération de commandes au niveau du réseau de la résilience de l'exécution locale.

1. Couche d'Interface Réseau (Génération de Commande) :

   • Cette couche génère des commandes d'espace de tâche ($\sigma_i$) en utilisant uniquement des états d'interface réseau échangés entre voisins et des signaux de leaders instantanés (lorsqu'ils sont disponibles).
   • Elle emploie un nouveau protocole d'interaction adaptatif qui ne nécessite pas de connaissance globale du graphe (par exemple, les valeurs propres du Laplacien) pour le réglage, ni de connaissance a priori des limites de vitesse ou des enveloppes de mouvement des leaders.
   • Le protocole utilise une analyse de Lyapunov non lisse pour prouver le confinement asymptotique des états de commande ($\sigma_i$) à l'enveloppe convexe des leaders, à condition que le graphe contienne un arbre couvrant unifié enraciné par un leader.

2. Couche de Récupération de l'Actionneur Virtuel Local (Résilience de l'Exécution) :

   • Cette couche garantit que le suiveur physique suit la commande générée malgré les attaques d'actionneurs.
   • Elle utilise un concept d'« actionneur virtuel », insérant un bloc de récupération entre le contrôleur nominal et l'actionneur compromis.
   • La conception utilise un filtre de commande local stable pour intégrer la commande d'espace de tâche dans la dynamique du suiveur.
   • Une loi de commande adaptative continue compense les attaques corrélées à l'état, corrélées à l'entrée et les attaques exogènes bornées. Crucialement, ce mécanisme de récupération repose uniquement sur des mesures d'état partielles (l'état externe en forme normale $x_i$), évitant ainsi le besoin de mesure d'état complète (spécifiquement l'état de la dynamique nulle $\eta_i$).
   • L'analyse de stabilité emploie une fonction de Lyapunov non lisse et des inégalités basées sur Riccati pour garantir la convergence asymptotique des erreurs de suivi locales.

Contributions Clés

• Protocole Adaptatif Continu pour Graphes Dirigés : Le papier propose un protocole adaptatif continu qui atteint le confinement de commande asymptotique sur des graphes dirigés généraux enracinés par un leader, sans nécessiter la reconstruction du modèle du leader, des limites de mouvement du leader connues, ou des paramètres globaux du graphe.
• Analyse de Lyapunov Non Lisse : Une nouvelle analyse de Lyapunov non lisse est utilisée pour établir les résultats asymptotiques du protocole proposé, évitant les problèmes de broutement associés aux contrôles par mode de glissement discontinus et les limitations de l'écart de l'enveloppe de la couche limite.
• Récupération par Actionneur Virtuel à État Partiel : Une couche de récupération d'actionneur virtuel adaptative continue est développée pour compenser asymptotiquement une large classe d'attaques d'actionneurs (corrélées à l'état, corrélées à l'entrée et exogènes) en utilisant uniquement des mesures d'état partielles. Cela contraste avec les résultats existants qui nécessitent souvent des mesures d'état complètes pour une récupération asymptotique.
• Confinement Pratique avec Analyse de Résidu : Le travail distingue entre le confinement de commande (asymptotique) et le confinement de sortie physique (pratique). Il fournit une caractérisation rigoureuse de l'erreur résiduelle des sorties physiques, l'attribuant au décalage entre la commande mobile et le filtre de commande local stable, plutôt qu'à un échec du protocole de confinement.

Résultats de Simulation
L'architecture a été validée via des simulations numériques impliquant un réseau de six quadrotors hétérogènes transportant des charges suspendues par câble (degré relatif vectoriel [4,4]) et trois leaders générant des enveloppes convexes complexes, mobiles, rotatives et changeant de taille.

• Scénario d'Attaque : Deux suiveurs ont été soumis à des attaques d'actionneurs sévères et persistantes combinant des composantes corrélées à l'état, corrélées à l'entrée et exogènes.
• Performance :
  • L'interface réseau a réussi à conduire les états de commande ($\sigma_i$) vers l'enveloppe convexe des leaders avec une erreur négligeable ($< 10^{-6}$ m par rapport au diamètre de l'enveloppe).
  • La couche de récupération locale a maintenu des signaux bornés et a assuré que les sorties physiques restaient dans un petit résidu pratique de l'enveloppe convexe (distance maximale $\approx 7,23$ m, soit $\approx 1\%$ du diamètre de l'enveloppe).
  • La source dominante du résidu physique a été identifiée comme étant l'erreur de réalisation du filtre de commande (due à l'incapacité du filtre stable à suivre parfaitement des commandes mobiles arbitraires sans dérivées d'ordre supérieur), et non une défaillance du protocole de confinement.
  • Les comparaisons avec une base non résiliente ont montré que l'architecture proposée a efficacement récupéré des attaques, alors que la base a échoué à maintenir le confinement.

Signification et Revendications
Le papier prétend combler une lacune dans la littérature concernant le confinement continu pour des SMA hétérogènes sous des dynamiques de leaders non divulguées et des attaques d'actionneurs. La signification réside dans la capacité de :

1. Opérer sans informations sensibles sur le modèle du leader, renforçant la sécurité contre la synthèse adversaire d'attaques furtives.
2. Maintenir la résilience face à des compromissions d'actionneurs complexes sans dépendre d'actions de commande discontinues qui provoquent du broutement.
3. Atteindre une convergence asymptotique de la couche de coordination tout en fournissant une borne rigoureuse sur l'erreur de confinement pratique de la couche physique.

Les auteurs soulignent que le confinement de la sortie physique est « pratique » (convergeant vers un résidu) plutôt qu'asymptotique, une limitation inhérente au schéma d'information (absence de dérivées d'ordre supérieur de la commande) et à l'utilisation de filtres locaux stables, plutôt qu'une défaillance de la stratégie de contrôle proposée. Le travail démontre que la séparation de l'interface réseau et de la couche d'exécution locale permet d'isoler efficacement les attaques d'actionneurs, empêchant leur propagation à la couche de coordination.